Adobe hat seine monatlichen Patchday-Updates veröffentlicht und dabei Schwachstellen mit der höchsten Einstufung behoben — jene Fehlerklasse, die sich ohne Patch in der Regel dazu ausnutzen lässt, vom Angreifer kontrollierten Code auf einem Rechner auszuführen.
Die betroffene Software steht auf den Rechnern von Designerinnen, Videoschnitt-Profis und Fotografen und zunehmend auch in Marketingteams, für die ein Creative-Cloud-Arbeitsplatz zur Standardausstattung gehört. Diese Workstations werden gern als Kreativwerkzeuge und nicht als Sicherheitsendpunkte behandelt: Sie führen schwergewichtige Anwendungen mit tiefen Dateiformat-Parsern aus, sie öffnen Dateien, die per E-Mail und Chat von Kunden und Agenturen kommen, und sie stehen selten im selben gehärteten, überwachten Perimeter wie die Notebooks der Buchhaltung.
Genau diese Kombination macht eine Höchstwertung in dieser Produktfamilie ernst zu nehmen. Dokument- und Bildformate sind exakt die Art von Eingabe, die ein Angreifer liefern kann, ohne das Netzwerk überhaupt zu berühren — ein PDF, eine Projektdatei, ein Bild mit bösartiger Nutzlast. Sie zu öffnen ist der Exploit. Kein Klick auf einen Link, kein Makro-Dialog, keine abgelegte ausführbare Datei nötig.
Die übliche Antwort gilt weiterhin: Updates zügig einspielen und den Anwendungen Vorrang geben, die tatsächlich nicht vertrauenswürdige Dateien parsen — zuerst also Dokument- und Bildwerkzeuge, weil sie es sind, die routinemäßig etwas öffnen, das ein Fremder geschickt hat.
Der größere Punkt für IT-Teams ist ein Inventarproblem. Wurden Kreativ-Workstations von einer Marketingabteilung aufgesetzt, aus einem eigenen Budget gekauft und nie in die zentrale Patch-Pipeline aufgenommen, werden sie überhaupt nicht gepatcht — und keine noch so große Dringlichkeit am Patchday ändert daran etwas. Sie ins Inventar zu holen kostet einen Nachmittag. Sie draußen zu lassen kostet einen Vorfall.
